Durante el periodo comprendido entre abril y julio de 2026, investigadores de Google identificaron una campaña de compromiso de los servidores de actualización de AOMEI. Los atacantes, catalogados bajo el nombre de UNC7017, aprovecharon ventanas de tiempo muy breves para modificar los paquetes de actualización y distribuir el backdoor modular ShinyRoad. La operación se dirigió principalmente a entornos de servicios de TI, operadores de telecomunicaciones y instituciones de educación superior, sectores críticos en la región LATAM. Este incidente subraya la exposición de la cadena de suministro de software a manipulaciones de última hora y la importancia de validar la integridad de las actualizaciones.

Qué sabemos

Los investigadores confirmaron que los servidores de actualización de AOMEI fueron infiltrados mediante accesos no autorizados que permitieron la inserción de código malicioso en los binarios de actualización legítimos. La campaña se ejecutó en ráfagas cortas, lo que dificultó la detección temprana y limitó la ventana de exposición antes de que los paquetes comprometidos fueran distribuidos a los clientes. Los indicadores de compromiso (IoC) apuntan a la presencia del módulo ShinyRoad en los sistemas que aplicaron las actualizaciones contaminadas.

Los objetivos principales fueron organizaciones de servicios de TI, telecomunicaciones y educación superior. Estas entidades comparten una alta dependencia de herramientas de gestión de sistemas y, por ende, de actualizaciones frecuentes de software como las provistas por AOMEI. La elección de estos sectores sugiere un interés estratégico en obtener acceso persistente a infraestructuras críticas y a datos sensibles.

Análisis técnico

El vector de ataque se centró en la cadena de suministro: los atacantes alteraron los paquetes de actualización antes de que fueran firmados o, en caso de firma, manipularon la firma para que siguiera siendo válida a los ojos de los clientes. Una vez instalado, ShinyRoad actúa como un backdoor modular que permite la ejecución de comandos remotos, la carga de módulos adicionales y la exfiltración de datos. La arquitectura modular facilita la adaptación a diferentes entornos y la evasión de detección mediante la carga de componentes bajo demanda.

En términos de TTPs, UNC7017 empleó técnicas de Supply Chain Compromise y Short‑Burst Tampering, que consisten en modificar artefactos de software durante breves intervalos de tiempo para evitar la correlación de logs y la generación de alertas. El backdoor también muestra capacidades de Command and Control (C2) a través de canales cifrados, aunque los detalles de la infraestructura C2 no fueron divulgados en la fuente original.

El impacto potencial incluye la instalación de herramientas de espionaje, la captura de credenciales y la posibilidad de pivotar dentro de la red comprometida. Dado que las actualizaciones de AOMEI son ampliamente utilizadas para la gestión de discos y copias de seguridad, la presencia de ShinyRoad podría facilitar la manipulación de datos críticos y la interrupción de servicios.

Qué deben hacer los equipos de seguridad

  • Revisar los registros de actualización de AOMEI entre abril y julio de 2026 y comparar los hashes de los paquetes instalados con los publicados oficialmente por el proveedor.
  • Aplicar una verificación de integridad a todos los sistemas que hayan recibido actualizaciones de AOMEI durante el periodo mencionado, utilizando herramientas de hash y firmas digitales.
  • Desplegar detección basada en comportamiento para identificar actividades típicas de ShinyRoad, como la ejecución de procesos no firmados o la apertura de conexiones salientes a destinos no habituales.
  • Actualizar las listas de bloqueo de IoC proporcionadas por fuentes de inteligencia de amenazas, enfocándose en indicadores asociados a UNC7017 y ShinyRoad.
  • Implementar políticas de “zero‑trust” para la cadena de suministro, exigiendo firmas criptográficas verificables y validación de reputación antes de aplicar cualquier actualización de software.
  • Comunicar a los usuarios finales la necesidad de revisar cualquier comportamiento anómalo en sus estaciones de trabajo y reportar inmediatamente cualquier señal de compromiso.
Fuente: BleepingComputer